Nonostante le voci e l’allarmismo, i computer quantistici sono ancora lontani anni dall’essere una minaccia per i sistemi finanziari attuali. Tuttavia, i costi per prepararsi a questa eventualità stanno già diventando tangibili.
Nel mese di marzo, i ricercatori di Google hanno stimato che un computer quantistico sufficientemente avanzato potrebbe decifrare la crittografia a curve ellittiche a 256 bit, ampiamente utilizzata, in pochi minuti. Questo è lo stesso livello di crittografia utilizzato dai wallet crypto, dai sistemi di custodia, dalle firme blockchain e da gran parte dell’infrastruttura di sicurezza impiegata dalle istituzioni finanziarie.
Sebbene il Q-Day possa non essere imminente, i governi hanno già iniziato a pianificare. Il rischio, infatti, è troppo grande per essere ignorato. Gli Stati Uniti stanno stanziando miliardi di dollari per migrare i sistemi federali verso nuovi standard post-quantum, mentre NIST ha l’obiettivo di eliminare gradualmente gli algoritmi vulnerabili entro il 2035.
La transizione è molto più complessa per il settore crypto. Asset per un valore di miliardi possono restare inutilizzati per decenni, vecchi wallet potrebbero non essere mai aggiornati e i sistemi di custodia istituzionali sono stati costruiti attorno a una crittografia che si prevede i computer quantistici possano violare.
BeInCrypto ha parlato con esperti di BitGo, Nethermind e della comunità crittografica per spiegare in dettaglio cosa comporterà realmente questa migrazione — e chi, alla fine, ne dovrà sostenere i costi.
Il rischio quantistico per i giganti istituzionali delle crypto
Tutti e tre gli esperti intervistati sono d’accordo su un punto. Le istituzioni devono avere un inventario completo che indichi dove viene utilizzata la crittografia vulnerabile, compresi i sistemi di firma, l’hardware, le procedure di recupero, l’autenticazione e le chiavi a lunga durata.
Nigel Smart, dottore di ricerca in Teoria dei Numeri Computazionale, definisce questo inventario come una Cryptographic Bill of Materials.
“Gli standard post-quantum sono già disponibili, così come molte implementazioni pronte per la produzione. Quello che manca alla maggior parte delle organizzazioni è un inventario chiaro, ovvero una Cryptographic Bill of Materials. Bisogna sapere dove viene utilizzata la crittografia all’interno dell’organizzazione, come vengono gestite le chiavi e quali algoritmi sono impiegati.”
Anche NIST colloca la fase di scoperta e di definizione delle priorità all’inizio del processo di transizione.
Per Akshay Thakur di BitGo, la custodia istituzionale introduce un altro aspetto critico.
“La custodia istituzionale si basa sulla firma threshold: la chiave non viene mai assemblata in un solo posto. NIST ha standardizzato pensando alla semplicità di implementazione, alla compattezza e al conservatorismo. La thresholdability non era una priorità standardizzata. Falcon, adottato oggi da Solana, Algorand e ora anche da Tron, non dispone di una costruzione threshold valida al momento. È un problema di ricerca aperto.”
NIST ha aperto la sua prima call ufficiale per schemi di soglia multi-party a gennaio 2026, mentre la ricerca presentata al suo workshop MPTS ha riscontrato gravi penalizzazioni di efficienza per la firma threshold con firme standard basate su hash.
Nitin Gaur di Nethermind, società di ingegneria specializzata in Infrastrutture Blockchain, sostiene che lo stesso problema si estenda a tutti i sistemi aziendali.
“Inventario crittografico su tutto l’ambiente: ogni utilizzo di RSA, ECC e Diffie-Hellman in TLS, emissione di JWT, firma del codice, CA roots, autenticazione API, firmware. Si tratta del 10-15% dei costi di programma e del 100% del percorso critico.”
Firme più grandi, costi più elevati
La sicurezza post-quantistica comporta chiavi e firme sensibilmente più grandi. L’ML-DSA-65 di NIST utilizza una firma da 3.309 byte e una chiave pubblica da 1.952 byte, mentre le firme a curve ellittiche comunemente usate sono dell’ordine di poche decine di byte. Alcune varianti dello SLH-DSA raggiungono decine di kilobyte.
Sulle blockchain, più byte significano maggior consumo di banda, requisiti di storage più elevati e potenzialmente commissioni più alte.
Per le reti proof-of-stake, anche Nigel Smart evidenzia la difficoltà di aggregare in modo efficiente firme post-quantum standardizzate.
“Le firme post-quantum possono essere considerevolmente più grandi di quelle odierne, aumentando la banda, lo storage e i costi di verifica. Nell’ambito blockchain, abbiamo bisogno di firme (per il livello di consenso nelle blockchain proof-of-stake) che possano essere aggregate facilmente (cosa che al momento non è banale con le firme post-quantum standardizzate).
Thakur si aspetta che il costo per l’utente finale emerga in modo evidente al momento della firma, quando carichi di dati più grandi attraversano i protocolli multiparty aggiungendo latenza.
I periodi ibridi, in cui firme classiche e post-quantum coesistono, possono far aumentare ulteriormente questi costi.
Il problema della custodia
La custodia istituzionale è stata costruita intorno alla crittografia a curve ellittiche, con MPC, hardware security module, procedure di recupero e sistemi di approvazione progettati di conseguenza. Cambiare la firma impone quindi ai custodi di rivalidare gran parte del sistema di controllo che ruota attorno alla chiave.
Gaur afferma che MPC, da sola, non garantisce alcuna resistenza ai quantistici.
“MPC distribuisce il calcolo ma non cambia l’algoritmo: una threshold ECDSA distribuita su cinque parti rimane comunque ECDSA. Un computer quantistico può ricavare la chiave privata dalla sola chiave pubblica, per cui non ha bisogno di compromettere nessuna parte e non importa quante esse siano. Ogni dollaro speso per distribuire la fiducia tra i firmatari offre esattamente zero resistenza quantistica, ed è qualcosa che non è ben compresa all’interno delle istituzioni che pensano che la loro custodia sia all’avanguardia.”
Nigel Smart afferma che alcuni dei sistemi più difficili da aggiornare saranno i wallet, le infrastrutture di custodia e gli smart contract che già controllano asset.
Bitcoin mostra perché il fattore tempo è cruciale. Un rapporto di giugno 2026 ha stimato che circa 1,7 milioni di Bitcoin sono ancora custoditi in indirizzi iniziali dove le chiavi pubbliche sono già esposte.
Molte di queste monete potrebbero non essere mai movimentate, restando vulnerabili se i computer quantistici diventassero abbastanza potenti prima che la rete completi la sua migrazione.
Chi paga per la migrazione?
Smart si aspetta che la responsabilità sia suddivisa tra sviluppatori di protocollo, custodi, fornitori di servizi e proprietari degli asset, poiché ogni gruppo controlla una parte diversa del processo di migrazione.
Gaur, invece, sostiene la necessità di un budget centrale gestito da figure senior.
“Finanziamento centrale, proprietà CISO, linea pluriennale approvata dal CFO, regolata come avvenuto per Y2K e LIBOR. Nessuna business unit dedicherà volontariamente budget a un programma senza ricavi e senza richiesta da parte dei clienti, e una gestione ‘sparsa’ non porterà ad alcun risultato.”
Le blockchain pubbliche sono più difficili da gestire perché non esiste un unico titolare del budget con il potere di costringere ogni partecipante ad aggiornare i sistemi. Un custode può sostituire i propri sistemi di firma, ma non può obbligare i proprietari di asset dormienti a spostare i fondi o imporre modifiche al consenso su un’intera rete.
La sicurezza di Internet mostra che grandi migrazioni possono anche iniziare in anticipo. Ad aprile 2026, Cloudflare ha segnalato che oltre i due terzi del traffico TLS generato da utenti umani che transita sulla sua rete già utilizzava protezione post-quantum.
Un costo non quantificato
Nel settore crypto manca ancora una stima credibile a livello industriale. Thakur ha spiegato in dettaglio dove potrebbero concentrarsi i principali costi.
“Gran parte dei costi non riguarda la crittografia. È la mappatura dell’inventario e delle dipendenze. È l’hardware che non può essere aggiornato e va sostituito. È far funzionare sistemi classici e post-quantum in parallelo mentre si dimostra che il nuovo preserva tutti i controlli. È ri-auditare e ri-certificare. E c’è una voce di costo senza precedenti in nessuna migrazione crittografica precedente: pagare commissioni di transazione on-chain per spostare asset, considerando le dimensioni delle firme post-quantum, su chain dove proprio queste firme più grandi hanno fatto aumentare le commissioni.”
Nigel Smart ha commentato anche sulla tempistica di una migrazione simile.
“La transizione richiederà probabilmente anni, non mesi, quindi è preferibile concentrarsi subito sull’inventario, i test e una migrazione a tappe, piuttosto che correre a fare tutto all’ultimo minuto. Tuttavia, molti governi e grandi aziende hanno decisamente accelerato i tempi di transizione negli ultimi mesi.”
Le date forniscono già alle istituzioni delle linee guida per pianificare i budget. Ethereum punta a introdurre le protezioni core post-quantum entro il 2029, mentre la tabella di marcia di transizione del NIST arriva fino al 2035.
L’incertezza riguarda l’arrivo di hardware quantistici realmente rilevanti per la crittografia, mentre i cicli di approvvigionamento, la sostituzione hardware e la riprogettazione delle strutture di custodia seguono già oggi tempistiche misurate in anni.
